DDoS-Tests und Lasttests senden beide große Mengen an Datenverkehr an ein System und werden daher oft verwechselt. Ihre Zwecke sind verschieden. Ein Lasttest fragt, ob Ihre Anwendung akzeptabel funktioniert, wenn viele echte Nutzer gleichzeitig kommen. Ein DDoS-Test fragt, ob Ihre Abwehr standhält, wenn Datenverkehr gezielt darauf ausgelegt ist, sie zu überwältigen oder zu erschöpfen. Wer den falschen Test wählt, lässt die eigentliche Frage womöglich unbeantwortet. Dieser Leitfaden vergleicht beide und hilft Ihnen zu entscheiden, welchen Sie zuerst durchführen.
Was es ist
Last- und Stresstests simulieren realistisches Nutzerverhalten: Surfen, Anmelden, Suchen, in den Warenkorb legen, Bezahlen oder API-Aufrufe. Die Tests steigern den Datenverkehr bis auf das erwartete Niveau und Spitzenniveau und mitunter darüber hinaus, um Belastungsgrenzen zu finden. Die Ergebnisse konzentrieren sich auf Antwortzeiten, Fehlerquoten, Durchsatz und Ressourcennutzung und helfen, Engpässe zu erkennen, etwa langsame Datenbankabfragen, begrenzte Connection-Pools oder zu träge reagierendes Autoscaling. DDoS-Resilienztests simulieren feindselige Verkehrsmuster: Floods auf Netzwerkebene, Erschöpfung von Verbindungen oder hohe Volumina an Anwendungsanfragen, die darauf ausgelegt sind, Caching zu umgehen. Die Ergebnisse konzentrieren sich darauf, ob Mitigation-Dienste, Rate Limiting, WAF-Regeln und vorgelagerte Schutzmechanismen den Datenverkehr erkennen und abfangen, wie lange das dauert und welche Auswirkungen legitime Nutzer erleben. Beim Lasttest geht es vor allem um Kapazität und Effizienz, beim DDoS-Test vor allem um Schutz und Reaktion. Beide benötigen einen schriftlichen Scope, sichere Grenzen und Abbruchbedingungen; DDoS-Tests erfordern in den meisten Fällen zusätzlich die Freigabe der Anbieter.
Für wen es gedacht ist
Dieser Vergleich hilft Teams, die:
- sich auf einen Launch, eine Kampagne oder eine saisonale Spitze vorbereiten und Vertrauen in ihre Kapazität gewinnen möchten
- ein CDN oder einen DDoS-Mitigation-Dienst eingekauft haben und sehen möchten, wie er sich verhält
- Verlangsamungen oder Ausfälle erlebt haben und nicht sicher sind, ob Last oder ein Angriff die Ursache war
- der Geschäftsleitung erklären müssen, warum zwei Verkehrstests vorgeschlagen werden
Was es zu klären hilft
Der Vergleich hilft zu klären:
- ob Ihr Hauptrisiko echte Nachfrage über der Kapazität oder feindseliger Datenverkehr über dem Schutzniveau ist
- welche Umgebung geeignet ist: ein produktionsnahes Staging-System für Lasttests oder ein koordiniertes Produktionsfenster für Resilienztests
- welche Kennzahlen zählen: Antwortzeit und Fehlerquote oder Erkennung, Mitigationszeit und Auswirkungen auf Nutzer
- welche Anbieter informiert werden oder die Aktivität freigeben müssen
Was ist enthalten
- Wählen Sie einen Lasttest, wenn: ein Launch oder eine Spitze bevorsteht, die Performance wiederholt bemängelt wird oder Sie Architektur oder Hosting geändert haben
- Wählen Sie einen DDoS-Test, wenn: Sie sich auf Mitigation-Dienste verlassen, die Sie noch nie im Einsatz gesehen haben, Sie einen stark exponierten Dienst betreiben oder Kunden oder Partner nach Resilienz fragen
- Für Lasttests: Nutzerabläufe, erwartete und Spitzenvolumina, Testdaten und Erfolgskriterien festlegen
- Für DDoS-Tests: Angriffsszenarien, Höchstraten, Freigaben der Anbieter und Abbruchbedingungen festlegen
- Für beide: Umgebungen, Zeitfenster, Überwachung, benannte Ansprechpartner und Berichterstattung vereinbaren
- Reihenfolge bedenken: Kapazitätsprobleme aus dem Lasttest beheben, bevor Schutzmechanismen getestet werden
Was nicht enthalten ist
- Die Behauptung, dass einer der beiden Tests Verfügbarkeit sicherstellt oder vor allen künftigen Verkehrsereignissen schützt
- Tests ohne schriftliche Autorisierung und, wo erforderlich, ohne Freigabe der Anbieter
- Fortlaufende Überwachung oder Incident Response, sofern nicht gesondert abgegrenzt
- Detaillierte Techniken zur Erzeugung von Datenverkehr
Wann man es wählt
Wenn Sie unsicher sind, beginnen Sie mit der Frage, die beantwortet werden soll. Lautet sie „Können wir am Launch-Tag die erwarteten Kunden bedienen?“, führen Sie einen Lasttest durch. Lautet sie „Würden unsere Schutzmechanismen halten, wenn jemand versucht, uns offline zu nehmen?“, führen Sie einen DDoS-Resilienztest durch. Viele Organisationen machen beides nacheinander: zuerst einen Lasttest, um eine gesunde Ausgangsbasis zu schaffen, dann einen Resilienztest, um die Schutzmechanismen anhand dieser Basis zu bewerten.
Unser Ansatz
Legen Sie den Erfolg fest, bevor Sie testen. Beim Lasttest können das akzeptable Antwortzeiten bei einer bestimmten Anzahl gleichzeitiger Nutzer sein. Beim Resilienztest kann es die Zeit sein, bis die Mitigation greift, und das Ausmaß der Auswirkungen, die legitime Nutzer währenddessen erleben. Unser Service Application Load & Stress Testing bewertet das Verhalten von Anwendungen unter vereinbarten Nutzungsszenarien, Lastniveaus, Umgebungen und Sicherheitsgrenzen. Unser Service DDoS Resilience Testing bewertet vereinbarte Störungsszenarien innerhalb schriftlich festgelegter Grenzen, einschließlich der Abstimmung mit Anbietern. Beide liefern schriftliche Beobachtungen und priorisierte Empfehlungen; Behebung oder fortlaufende Überwachung lassen sich in einem gesondert vereinbarten Umfang ergänzen. Wenn Sie beides planen, grenzen Sie die Scopes gemeinsam ab, damit Umgebungen, Ansprechpartner und Berichtsformate zusammenpassen und die Ergebnisse vergleichbar sind.
Häufig gestellte Fragen
Verwandte Artikel
Erste Schritte
Möchten Sie Unterstützung bei der Wahl des passenden Verkehrstests für Ihre Situation?
Erzählen Sie uns von Ihrer Anwendung, Ihrem Hosting, Ihren Anbietern und dem Ereignis oder Risiko, auf das Sie sich vorbereiten. Wir empfehlen einen angemessenen Test-Scope.
Schriftlichen Scope anfordern